Auditoria y Gestión de Seguridad Información Electoral

Presentación del tema: "Auditoria y Gestión de Seguridad Información Electoral"— Transcripción de la presentación:

1 Auditoria y Gestión de Seguridad Información Electoral
E. Mafla Abril, 2017

2 Agenda Auditoria Gestión de seguridad Sistemas electorales
Procesos electorales AUDITORIA Y GESTION DE SEGURIDAD: CNE 2017

3 Disciplinas de computación (ACM)
Sistemas de información Tecnologías de información y comunicación Ingeniería de software Ciencias de la computación Ingeniería de computadoras PROCESAMIENTO COMUNICACIÓN ALMACENAMIENTO

4 Normativa Constitución Código de la democracia Otras leyes
Derechos de elección, participación y control Sistema electoral Código de la democracia Gestión del sistema electoral ISO 17582 Otras leyes LCEFEMD LOTAIP

5 ISO 17582 Elaboración de registro y padrones y defunción de distritos
Gestión de organizaciones políticas Logística electoral: paquetes, MJRV, recintos Sistema de votación Escrutinio y publicación de resultados Capacitación electoral Control de gasto Resolución de conflictos

6 Alta Disponibilidad

7 Alta Disponibilidad

8 Cadena de custodia

9 Cadena de custodia

10 Auditoria a la CNE Plan Integral de Auditoria
2013 y 2014 – Karaoke PPT 2017 Jefe de auditoria = coordinador de procesos electorales Equipo de auditoria = empleados del CNE “Observadores” de OP 4 subprocesos . . .

11 De: Seguimiento Elecciones 2017 <seguimientoelec2017@cne. gob
De: Seguimiento Elecciones 2017 Enviado: domingo, 19 de febrero de :03 Para: Seguimiento Elecciones 2017 Cc: Santiago Cahuasqui; Ivan Fernandez de Cordova; Diego Tello; Miguel; Paul Alejandro Rivera Martinez; Fernando Toledo; Juan Pablo Leon Aguilera; Vilma Marinelly Nunez Carreno Asunto: REVISIÓN CODIGO HASH Estimados Auditores (as)  Acreditados (as) Presente.- De mi consideración: Conforme acta de reunión de trabajo de auditoría de hoy día 19 de febrero del 2017, realizada en las instalaciones del Consejo Nacional Electoral, Dirección Nacional de informática,   en la que se cumplió con el evento de comprobación de hash; se acordó además realizar un “Control de calidad de la autenticidad del hash, aleatorio a partir de la 17h00, del servidor y una visita a un Recinto de Transmisión y Publicación de Actas. Considerando que no es recomendable interrumpir el proceso de escrutinios,  el requerimiento de “Control de calidad de la autenticidad del hash, aleatorio a partir de la 17h00, del servidor y una visita a un Recinto de Transmisión y Publicación de Actas”, solicitado, no es pertinente realizarlo, evento que sería ejecutado como una revisión post electoral. Atentamente, Equipo de Auditroría CNE

12 ISO 27001:2013 A.5: Information security policies (2) A.6: Organization of information security (7) A.7: Human resource security (6) A.8: Asset management (10) A.9: Access control (14) A.10: Cryptography (2) A.11: Physical and environmental security (15) A.12: Operations security (14) A.13: Communications security (7) A.14: System acquisition, development, maintenance (13) A.15: Supplier relationships (5) A.16: Information security incident management (7) A.17: Information security aspects of BCM (4) A.18: Compliance; with internal / external requirements (8)

13 NIST SP 800-53 AC Access Control. AT Awareness and Training.
AU Audit and Accountability. CA Security Assessment and Authorization. (historical abbreviation) CM Configuration Management. CP Contingency Planning. IA Identification and Authentication. IR Incident Response. MA Maintenance. MP Media Protection. PE Physical and Environmental Protection. PL Planning. PS Personnel Security. RA Risk Assessment. SA System and Services Acquisition. SC System and Communications Protection. SI System and Information Integrity. PM Program Management.

14 ISO 27017 – Controles en la nube
1 Roles y responsabilidades compartidas en la nube 5 Remoción de activos de clientes de servicios cloud 1 Segregación en entornos informáticos virtuales 2 Endurecimiento de la máquina virtual 5 La seguridad operacional 5 Seguimiento de los servicios en la nube 4 Alineación: gestión de seguridad de red virt y física